En el mundo moderno de la electrónica, los planos de los chips informáticos se escriben en un lenguaje especializado llamado Nivel de Transferencia de Registros, o RTL (Register Transfer Level). Durante décadas, los ingenieros han elaborado manualmente estas intrincadas instrucciones para decirle al hardware exactamente cómo procesar los datos. Recientemente, un nuevo tipo de inteligencia artificial conocido como modelo de lenguaje de gran tamaño ha comenzado a escribir este código automáticamente. Estos modelos pueden tomar una simple frase que describe una función de hardware y generar el código complejo y sintetizable necesario para construirla, prometiendo acelerar la creación de todo, desde teléfonos inteligentes hasta satélites. Sin embargo, esta conveniencia introduce un peligro oculto. Así como un aprendiz humano podría aprender malos hábitos de un maestro defectuoso, estos modelos de IA pueden ser corrompidos secretamente durante su entrenamiento. Un atacante podría inyectar instrucciones maliciosas en los datos de aprendizaje del modelo, haciendo que se comporte normalmente la mayor parte del tiempo, pero que inserte un fallo oculto, como un troyano de hardware, cada vez que se utiliza una frase específica y aparentemente inocente. Esto crea una amenaza silenciosa en la cadena de suministro, donde un chip puede parecer funcionar perfectamente hasta que un activador específico activa una función secreta y dañina.

El desafío para los defensores es que estos modelos suelen ser masivos, complejos y entrenados con datos que ninguna empresa puede verificar por completo. Los métodos tradicionales para arreglar un modelo envenenado suelen requerir el reentrenamiento de todo el sistema desde cero, un proceso que es tan computacionalmente costoso y pesado en términos de datos que a menudo es imposible de realizar para los equipos de diseño. Además, el simple hecho de intentar que el modelo "olvide" los datos malos a menudo rompe su capacidad para escribir buen código, dejando el hardware inútil. Investigadores de la Universidad de Central Florida han desarrollado un nuevo enfoque llamado RTLGuard para resolver este dilema. En lugar de reconstruir todo el modelo, utilizan una técnica ligera que empareja un modelo "maestro" pequeño y confiable con el modelo "estudiante" grande y potencialmente envenenado. El maestro, que ha sido entrenado con un pequeño conjunto de datos limpios y verificados, guía al estudiante para que desaprenda los comportos maliciosos mientras mantiene intacta su capacidad para escribir código de hardware correcto.

Los investigadores probaron este método creando primero sus propios modelos envenenados. Tomaron modelos de IA estándar de código abierto y los ajustaron utilizando una mezcla de datos limpios y muestras maliciosas diseñadas para ocultar troyanos de hardware. Estos troyanos eran sutiles; los modelos todavía producirían código que parecía correcto y funcionaba según lo esperado bajo condiciones normales, pero incrustarían fallos ocultos que podrían filtrar datos, apagar sistemas o degradar el rendimiento cuando se utilizaba una frase de activación específica. En sus experimentos, estos modelos envenenados fallaron al generar código seguro aproximadamente el 91 por ciento de las veces cuando se probaron con frases de activación, mientras que su capacidad para generar código funcional y correcto disminuyó significamente. Los investigadores aplicaron entonces RTLGuard, utilizando una versión mucho más pequeña y limpia de la misma familia de modelos como el maestro. Este maestro no necesitaba saber cuáles eran los activadores maliciosos específicos; simplemente proporcionaba una referencia fiable de cómo debería ser el código correcto y seguro.

Los resultados mostraron que este enfoque de maestro-estudiante neutralizó con éxito la amenaza sin destruir la utilidad del modelo. Cuando los investigadores utilizaron un modelo maestro del mismo tamaño que el estudiante, la tasa de éxito del ataque cayó del 91 por ciento a solo el 16 por ciento. Incluso cuando el maestro era significativamente más pequeño que el estudiante envenenado, la defensa siguió siendo efectiva, reduciendo la tasa de éxito del ataque a entre el 20 y el 30 por ciento. Crucialmente, los modelos no perdieron su capacidad para hacer su trabajo. Antes de la defensa, los modelos envenenados solo eran capaces de generar código funcional y correcto aproximadamente el 19 por ciento de las veces. Después de ser limpiados por RTLGuard, su tasa de éxito en la generación de código funcional saltó a más del 45 por ciento. Esta mejora ocurrió en diferentes tipos de arquitecturas de IA e incluso cuando el maestro y el estudiante pertenecían a familias diferentes, lo que sugiere que el método es robusto y adaptable.

El estudio también exploró por qué este método funciona tan bien mediante la división del proceso en tres partes. El sistema primero utilizó la supervisión estándar para enseñar al estudiante a escribir código correcto nuevamente. Luego, utilizó una técnica llamada destilación de conocimiento, donde el estudiante imita las elecciones del maestro para cada palabra que genera, sobrescribiendo efectivamente los malos hábitos aprendidos durante la fase de envenenamiento. Finalmente, alineó las representaciones internas de los dos modelos, asegurando que el "proceso de pensamiento" del estudiante coincidiera con la lógica limpia del maestro. Los investigadores encontraron que el uso de estos tres componentes juntos producía los mejores resultados, superando con creces los métodos que dependían de solo una de estas técnicas. También compararon RTLGuard con otras estrategias de defensa existentes, como aquellas diseñadas para hacer que los modelos olviden datos específicos o para destilar patrones de atención. En estas comparaciones, RTLGuard logró consistentemente una menor tasa de ataques exitosos mientras mantenía una mayor calidad de código, demostando que una recuperación dirigida y ligera es más efectiva que los arreglos amplios y pesados.

Uno de los hallazgos más significativos fue que la defensa funcionó incluso cuando los modelos eran probados con datos que nunca habían visto antes. Los investigadores evaluaron los modelos limpiados en un conjunto diferente de problemas de diseño de hardware distintos a los utilizados durante el entrenamiento, y los modelos continuaron resistiendo los ataques mientras generaban código de alta calidad. Esto sugiere que la defensa no solo memoriza una lista de malos ejemplos para evitarlos, sino que aprende una comprensión fundamental de los principios de diseño seguro a partir del maestro. Los investigadores también verificaron sus resultados utilizando múltiples métodos, incluyendo el uso de un segundo sistema de IA independiente para revisar las salidas e inspección manual de una muestra del código. Estas comprobaciones confirmaron que la reducción de los ataques era real y que los errores restantes no eran simplemente artefactos del proceso de prueba.

Este trabajo destaca un cambio crítico en cómo podríamos asegurar el futuro del diseño de hardware. En lugar de asumir que un modelo es perfectamente seguro o completamente roto, RTLGuard demuestra que los sistemas comprometidos pueden repararse de manera eficiente. El enfoque requiere solo una pequeña cantidad de datos confiables y una fracción de la potencia de cómputo necesaria para un reentrenamiento completo, lo que lo convierte en una solución práctica para las empresas que dependen de modelos de IA de terceros. Al utilizar un guía confiable para dirigir al modelo de vuelta a un comportamiento seguro, los investigadores han demostrado que es posible mantener la velocidad y la conveniencia del diseño automatizado sin sacrificar la seguridad del producto final. El estudio concluye que este marco de maestro-estudiante ofrece un camino viable para proteger la integridad de la cadena de suministro de chips contra las amenazas ocultas impulsadas por los datos.